RODO: Przetwarzanie danych biometrycznych – wyrok sądu łagodzi restrykcyjne podejście UODO

W zeszłym roku informowaliśmy o pierwszej karze nałożonej przez Prezesa UODO za niezgodne z RODO przetwarzanie danych biometrycznych przez szkołę, która wprowadziła weryfikację uczniów korzystających ze stołówki odciskiem palca (https://www.dudkowiak.pl/blog/ochrona-danych-osobowych-kara-puodo-dla-szko%C5%82y-za-przetwarzanie-danych-biometrycznych-uczni%C3%B3w.html). Po zaskarżeniu decyzji przez szkołę, została ona uchylona wyrokiem WSA.

zasada minimalizacji danych

W uzasadnieniu wyroku sąd przedstawił odmienne od UODO stanowisko w zakresie realizacji zasady minimalizacji danych, o której mowa w art. 5 ust. 1 lit c RODO. Zdaniem Prezesa UODO, zasada minimalizacji danych oznacza konieczność ograniczenia zakresu zbieranych danych jedynie do niezbędnego minimum i przetwarzanie tylko takich danych, bez których nie da się osiągnąć celu administratora.

Według sądu, takie postrzeganie zasady minimalizmu jest zbyt rygorystyczne, ponieważ nie bierze pod uwagę pozostałych zasad przetwarzania danych osobowych wskazanych w art. 5 st. 1 RODO tj. zasady adekwatności i stosowności, które są jej równoważne. Adekwatność przetwarzania danych przejawia się w konieczności przetwarzania tylko tych danych, które są potrzebne do realizacji określonego celu  – a więc danych odpowiednich i zgodnych, których zakres nie jest nadmierny bądź nieproporcjonalny.

W rezultacie, dopuszczalne jest przetwarzanie tych danych osobowych, które są potrzebne do realizacji określonego celu (np. ponieważ można go dzięki temu osiągnąć szybciej), nawet jeżeli bez nich dałoby się ten cel osiągnąć.

Urząd nie zgadza się z wyrokiem WSA izapowiedział złożenie skargi kasacyjnej w tej sprawie. Według organu, taka interpretacja zasad przetwarzania danych osobowych dopuszcza przetwarzanie nieograniczonego zakresu danych pod pretekstem ich przydatności.

rygorystyczne podejście do przetwarzania danych biometrycznych

Decyzja PUODO wpisuje się w praktykę europejskich organów nadzoru, sceptycznie podchodzących do przetwarzania danych biometrycznych, zwłaszcza podmiotów, które nie mają równej pozycji wobec administratora np. uczniów, pracowników, a przez to ich zgoda na przetwarzanie takich danych może nie być dobrowolna. Podobne kary zostały nałożone przez szwedzkie (system rozpoznawania twarzy wprowadzony w szkole) i rumuńskie organy nadzoru (system dostępu do pomieszczeń z wykorzystaniem odcisków palców pracowników).